$4,67 млн вкрадено: Axelar розкрив критичний баг «нескінченного карбування» у мості з Secret Network
19 червня команда кросчейн-протоколу Axelar підтвердила факт експлуатації вразливості в мосту, що з'єднує її інфраструктуру з мережею Secret Network. Атакуючий зумів вивести цифрові активи на суму близько $4,67 млн, скориставшись так званим багом «нескінченного карбування» (infinite mint). Примітно, що інцидент залишався непоміченим протягом цілих семи днів.
Технічні деталі атаки
Аналіз, проведений ключовим розробником Axelar — командою Common Prefix, виявив корінь проблеми в модифікованому смарт-контракті CW20-ICS20 на стороні Secret Network. Цей контракт відповідав за створення «обгорнутих» версій активів Axelar (токенів saToken) в екосистемі Cosmos через IBC-з'єднання. Фатальна помилка полягала у відсутності перевірки каналу, з якого надходила вхідна транзакція. Алгоритм сліпо довіряв будь-якому пакету, дозволяючи зловмиснику підробляти депозити та емітувати токени, не забезпечені реальними коштами.
Для реалізації схеми хакер запустив власний ланцюжок у мережі Cosmos з єдиним валідатором. Через цей канал він надсилав пакети з фіктивними номіналами активів, які контракт на Secret приймав за легітимні депозити. Це дозволяло в необмеженій кількості карбувати saUSDT, saUSDC, saDAI, saWETH, saWBTC, saWBNB та sawstETH, які потім виводилися в інші мережі.
Реакція та наслідки
Комітет з надзвичайних ситуацій Axelar оперативно відключив з'єднання Secret та Secret-SNIP, зупинивши потік несанкціонованих транзакцій. Наразі команда координує дії з біржами та правоохоронними органами для відстеження вкрадених коштів. Важливо підкреслити, що інцидент торкнувся виключно перерахованих вище обгорнутих активів. Основний протокол Axelar, інші IBC-з'єднання та нативні токени Secret Network залишилися недоторканими.
Цікава реакція ринку: незважаючи на повідомлення про крадіжку, ціна нативного токена Secret (SCRT) у момент підскочила майже на 6%, досягнувши позначки $0,06. Після невеликої корекції актив торгується близько $0,058, демонструючи добовий приріст близько 3%. Капіталізація проєкту становить приблизно $20 млн. Для контексту: історичний максимум SCRT був зафіксований у жовтні 2021 року на рівні $10,64, що більш ніж на 99% вище поточних значень.
Мій експертний коментар: Даний інцидент — класичний приклад вразливості в логіці кросчейн-комунікації. Проблема не в самому протоколі Axelar, а в реалізації контракту на стороні Secret Network. Відсутність валідації вхідного каналу — груба, але, на жаль, поширена помилка в складних мультичейн-середовищах. Цей випадок слугує суворим нагадуванням: безпека мосту визначається найслабшою ланкою в ланцюжку контрактів. Проєктам необхідно впроваджувати багаторівневі перевірки, особливо при роботі з IBC-пакетами, де довіра до джерела має бути суворо верифікована.